网易守望先锋反作弊驱动分析：从代码去混淆到敏感行为还原，CVE-2025-45737任意内核读写漏洞复现、提权实验，附PoC

文章已下架

本文首发于看雪安全论坛，应网易法务要求删除文章，看雪论坛文章删除、个人博客已下架。

文章目录速览

1. 写在前面
2. 分析开篇
3. 初始化函数全貌
4. 代码膨胀（算数查表网络）
5. 运行时解密，隐藏真实函数调用
6. 内部状态机打乱控制流（fla）
7. 代码入口、出口复用（微型分发器）
8. 字符串加密
9. 尝试IDA插件去混淆
10. 模拟执行解密函数调用
11. 还原真实函数调用（patch bytes）
12. 清洗代码膨胀
13. 去除代码混淆效果
14. 子初始化函数混淆处理
15. Flt通讯端口无鉴权
16. 驱动Flt通讯协议还原
17. 驱动功能函数分析
18. 任意内核地址读写（内核Shellcode）
19. 任意用户地址读写（跨进程读写内存）
20. 用户进程注入（内核态注入DLL）
21. 任意终止用户进程（强杀进程）
22. 笔者碎碎念
23. 顺便分析
24. 进程创建回调（ProcessNotifyEx）
25. 线程创建回调（ThreadNotify）
26. Ob句柄回调（进程、线程降权）
27. 部署假Cr3、半清空PML4E（不受信附加行为检测）
28. Hook nt!MmAccessFault
29. 扫描局部句柄表（ExEnumHandleTable）
30. Hal指针表完备性校验（Hal Hook检测）
31. PCIe BAR空间信息获取（检测DMA）
32. 反模拟器
33. 彩蛋1（赞美友商）
34. 彩蛋2（亲切问候）
35. 提权实验
36. 结束
37. Git开源仓库